Partner Trial Guide für Intercept X

Transkript

1 Partner Trial Guide für Intercept X

2 Vorbereitung

3 Sophos Central Kundenaccount anlegen Variante 1: Kunde legt (mit Partner Referral ID) den Account selbst an. Management durch den Kunden und optional den Partner. Der Kunde erscheint wegen Referral Link im Central Partner Dashboard des Partners. Variante 2: Partner legt über Central Partner Dashboard den Account des Kunden an. Die Verwaltung geschieht ausschließlich über den Partner. Variante 3: Partner legt über Central Partner Dashboard den Account des Kunden an und legt dort zusätzlich einen Admin-Benutzer für den Kunden an, so dass Partner und Kunde den Central Account verwalten können. 3

4 Sophos Central Trials Trial Variante 1: Kunde legt Trial per Referral ID an 4

5 Einloggen auf Sophos Partner Portal Trial Variante 2+3: Partner legt Kunden an Dann Central Partner Dashboard starten

6 Central Partner Dashboard Trial Variante 2+3: Partner legt Kunden an Trial für neuen Kunden starten 6

7 Central Partner Dashboard Trial Variante 2+3: Partner legt Kunden an 7

8 Central Partner Dashboard Trial Variante 2+3: Partner legt Kunden an Admin-Interface für Kunden starten 8

9 Central Admin - Kunde Trial Variante 2+3: Partner legt Kunden an 9

10 Central Admin - Kunde Trial Variante 2+3: Partner legt Kunden an 10

11 Central Admin - Kunde Trial Variante 2+3: Partner legt Kunden an SophosInstall.exe herunterladen. Dieser Installer wird in Demo-VM kopiert 11

12 Optional: Central Admin - Kunde Trial Variante 3: Kunde bekommt Admin-Rechte Admin-Benutzer hinzufügen, damit der Account auch direkt durch den Kunden verwaltet werden kann 12

13 Optional: Central Admin - Kunde Trial Variante 3: Kunde bekommt Admin-Rechte 13

14 Windows Workstation ohne Endpoint 14

15 Windows Workstation nach Installation neu starten Rechner neu starten 15

16 Download Ransomware-Simulator, z.b. RanSim RanSimSetup.exe herunterladen 16

17 Download Exploit Test-Tool, z.b. SurfRight Exploit Test Tool Hmpalert-test.exe herunterladen 17

18 Firefox 32 Bit (!) auf Win10 Client installieren 18

19 Test-Tools auf Win10 Client kopieren 19

20 Kunden-Demo

21 1. Sophos Central

22 Variante 1: Login mit Kunden-Admin Trial Variante 1+3 Hier können Sie sich am Sophos Central Adminportal anmelden

23 Variante 2: Login über Central Partner Dashboard Trial Variante 2+3 Admin-Interface für Kunden starten 23

24 Central Admin Das Dashboard gibt Ihnen einen Überblick über den Stand der Security in Ihrem Unternehmen

25 Central Admin Unter Computer sehen Sie die aktuell mit Sophos geschützten Rechner 25

26 Central Admin Unter Richtlinien -> Basisrichtlinie sehen Sie die Einstellungen u.a. zum Schutz vor Bedrohungen. Die Einstellungen zu Intercept X finden Sie unter Laufzeitschutz 26

27 2. Ransomware

28 Windows Workstation Knowbe4.com Webseite aufrufen Kevin Mitnick war einmal der meistgesuchte Hacker der USA, weil er unter anderem in Regierungseinrichtungen eingedrungen ist. Heute hat er eine Security-Beratungsfirma, mit der er Unternehmen in Bezug auf IT-Sicherheit berät. Diese Firma hat einen Ransomware-Simulator entwickelt, der das Verhalten echter Ransomware simuliert, ohne Schaden anzurichten.

29 Windows Workstation - RanSimSetup starten RanSim installieren und ausführen 29

30 Windows Workstation - RanSim ausführen RanSim simuliert fünf verschiedene Szenarien, wie Verschlüsselungstrojaner vorgehen, u.a. Dateien umbenennen, verschlüsseln, löschen und den Schlüssel an den Server des Angreifers übertragen 30

31 Windows Workstation - RanSim ausführen CryptoGuard, ein Teil von Intercept X erkennt und stoppt die Verschlüsselung und stellt die Originaldateien wieder her 31

32 Windows Workstation - RanSim ausführen Intercept X hat alle fünf Szenarien rein aufgrund des Verhaltens erkannt und verhindert 32

33 Windows Workstation - RanSim ausführen Die Bereinigung per Sophos Clean ebenfalls ein Teil von Intercept X wurde gestartet 33

34 Central Admin Im zentralen Management sieht man unter den Alarmen, was Intercept X gefunden hat. Rechts oben kann man die Alarme als gesehen markieren. 34

35 Nach Abschluss von Sophos Clean alles wieder grün Auf dem Client ist Sophos Clean mittlerweile fertig und hat alle Bedrohungen beseitigt 35

36 Nach Abschluss von Sophos Clean alles wieder grün Der Computer ist wieder im grünen Bereich 36

37 3. Exploits

38 Exploit-Test via hmpalert-test.exe und Firefox Mit dem Exploit Test Tool von Surfright kann man testen, ob ein System mittels Exploit-Techniken infiziert werden kann. Hier wählen wir Firefox aus, den wir als Vehikel nutzen wollen, um einen Exploit zu versuchen. 38

39 Exploit-Test via hmpalert-test.exe und Firefox Hier wird eine gängige Infektionstechnik simuliert, bei der Programmaufrufe so manipuliert werden, dass (nach dem nächsten Rücksprungbefehl) vom Angreifer eingeschleuster Programmcode ausgeführt wird (Return orientated Programming). Es gibt bei etwa 100 Millionen neuer Schädlinge pro Jahr nur etwa eine neue Infektionstechnik dieser Art. Insgesamt sind etwa zwei Dutzend solcher Infektionstechniken bekannt und gegen diese Techniken schützt Intercept X. 39

40 4. Ursachenanalyse

41 Central Admin Nachdem ein Angriff erkannt und verhindert wurde, dient die Ursachenanalyse dazu, diesen Angriff zu analysieren - Was ist passiert? - Wie kam der Schädling ins Unternehmen? - Was ist betroffen, hat er sich evtl. auf Netzlaufwerke oder andere Systeme verbreitet? - Wie kann ich künftig solche Infektionen verhindern, kann ich eventuell den verwendeten Einfallsweg schließen (z.b. -Anhänge mit Office-Makros?) 41

42 Central Admin Hier kann ich jetzt den kompletten Vorfall analysieren und sogar mein komplettes Incident Management durchführen. Derjenige, der den Fall bearbeitet kann seine Ergebnisse hier protokollieren 42

43 Central Admin Unter den Artefakten sehe ich u.a. die beteiligten Prozesse, Registry Keys und Netzwerkverbindungen 43

44 Central Admin Ich kann jetzt die Ereigniskette analysieren, was ab dem Zeitpunkt passiert ist, an dem der Schädling ins System kam bis zu dem Zeitpunkt, als er aufgrund seines Verhaltens entdeckt wurde. Ich sehe Dateioperationen, Prozessbeziehungen und wohin kommuniziert wurde. Der hier durchgeführte Angriff wurde sofort erkannt und verhindert, bei echten Angriffen kann ich nachvollziehen, welche Einfallswege genutzt, wohin sich der Schädling verbreitet hat und welcher Schaden angerichtet bzw. vereitelt wurde. 44

45 4. Alarme im Central Partner Dashboard

46 Central Partner Dashboard Wenn Sie die Verwaltung Ihrer Security über Sophos Central durch uns als Ihren Partner durchführen lassen möchten, dann würden Alarme in unserer konsolidierten Ansicht auftauchen, so dass unsere Mitarbeiter ggf. Maßnahmen ergreifen können 46

47